Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Logische Trennung ausreichend (DMZ)?

Frage Netzwerke LAN, WAN, Wireless

Mitglied: ThomasAnderson

ThomasAnderson (Level 1) - Jetzt verbinden

22.05.2014, aktualisiert 17.06.2014, 1727 Aufrufe, 5 Kommentare, 3 Danke

Hallo,

ich kenne aus den Vorlesungen die strikte Trennung:

Internet<--->Firewall<--->DMZ<--->Firewall<--->internes Netz
rot - orange - grün

Beim NW Redesign geht es jetzt darum, die Netze nicht nur redundant auszulegen sondern auch eventuelle Sicherheitsfehler zu beheben.
Dass eine physikalische Trennung zw. den Zonen die sauberere ist ist klar.

Aber reicht eine logische Trennung (über VLANs) auch aus? (Es gibt ja auch Möglichkeiten wie VLAN Hopping etc.).
Also die Firewalls können theoretisch nicht umgangen werden, da die Verbindungen immer über die VLANs zur FW geroutet werden, aber rein physikalisch wäre das möglich.

Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.

Vielen Dank für Eure Tipps.

Gruß
Mitglied: brammer
LÖSUNG 22.05.2014, aktualisiert 17.06.2014
Hallo,

abhängig davon wie gut der Angreifer ist. kann das reichen, es bleibt aber ein Restrisiko das mir persönlich zu hoch wäre.

Bei dynamischen VLAN's mit MAC Adress Identifikation bleibt das Risiko das ein Angriefer von innen durch MAC adress Spoofing in ein VLAN kommt in das er nicht soll.

Eine DMZ sollte immer aus (min.) 2 physikalischen Geräten + Redundanz auf beiden Seiten, also insgesamt 4 oder mehr Geräte bestehen.

brammer
Bitte warten ..
Mitglied: ThomasAnderson
22.05.2014 um 13:46 Uhr
Hi,

mit 4 Geräten meinst Du wahrscheinlich jeweils red-orange und orange-green redundante Firewalls?
Bitte warten ..
Mitglied: brammer
22.05.2014 um 13:48 Uhr
Hallo,

ja.
Auf beiden Seiten sollte eine Redundanz vorhanden sein.

brammer
Bitte warten ..
Mitglied: Lochkartenstanzer
22.05.2014 um 14:36 Uhr
Zitat von ThomasAnderson:

Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke
nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.

Das hängt von sehr viele Faktoren ab, wie der vorhandenen hardware, wie gut der Admin ist, der das Konfiguriert, welche Bugs die Firmware hat, auf welcher basis das VLAN aufgespannt wird, etc.

Wie immer muß man einfach das Risiko gegen den Aufwand abwägnen und die Lösung hinstellen, die das Budget verkraftet und einen ruhig schlafen läßt.

ist wie bei den banken auch. da könnte man auch das Onlinebanking so sicher machen, daß kaum noch Angriffe möglich sind, Aber das kostet so viel Geld, daß die banken es lieber den Schaden durch phishing in kauf zu nehmen, weil das blliger für sie ist.

lks
Bitte warten ..
Mitglied: ThomasAnderson
02.06.2014 um 13:47 Uhr
Hat noch jemand ein gutes Beispiel? Wie z.B. wenn auf einem Switch ausversehen das selbe VLAN eingerichtet wird, kann die DMZ umgangen werden wenn diese rein logisch vorliegt.

Ansonsten @Lochkartenstanzer: Ich denke das Risiko ist hoch genug
Bitte warten ..
Ähnliche Inhalte
Netzwerkmanagement
gelöst DMZ hinter LAN? (7)

Frage von Lars15 zum Thema Netzwerkmanagement ...

Netzwerkmanagement
Problem mit DLNA Server in DMZ (4)

Frage von haye81 zum Thema Netzwerkmanagement ...

LAN, WAN, Wireless
gelöst Verständnisfrage DMZ, warum nicht LAN2 Interface? (4)

Frage von Bytedreher zum Thema LAN, WAN, Wireless ...

Windows Server
Adfs 3: WAP funktioniert mit 2 NICs, aber nicht mit einer NIC in DMZ (1)

Frage von m1tschen zum Thema Windows Server ...

Heiß diskutierte Inhalte
Exchange Server
gelöst Email in Exchange an 2ten Empfänger senden (18)

Frage von MultiStorm zum Thema Exchange Server ...

Weiterbildung
Gehaltsvorstellungen (14)

Frage von SYS64738 zum Thema Weiterbildung ...

Windows Server
gelöst Microsoft-Lizenz CALs und passendes Server-Betriebssystem (13)

Frage von planetIT2016 zum Thema Windows Server ...

Verschlüsselung & Zertifikate
gelöst Festplattenverschlüsselung im Ausland (13)

Frage von Nicolaas zum Thema Verschlüsselung & Zertifikate ...